Firefox 158-მა sandbox-იდან გაქცევის ხარვეზებიც დახურა

Mozilla-მ Firefox 158-ის უსაფრთხოების ბიულეტენში 2026 წლის 13 ოქტომბერს დაადასტურა, რომ ვერსიაში დახურულია sandbox-იდან გაქცევის, პრივილეგიის გაზრდისა და ინფორმაციის გამჟღავნების ხარვეზები. რამდენიმე პრობლემას მაღალი სიმძიმე აქვს; ამიტომ ჩვეულებრივი Firefox-ის მომხმარებლისთვის განახლება მხოლოდ ახალი ფუნქციების მიღება კი არა, ბრაუზერის იზოლაციისა და მეხსიერებასთან მუშაობის შეცდომების გამოსწორებაა.

PCWorld-ის მიმოხილვის მიხედვით, Firefox 158-ში გამოსწორდა 77 უსაფრთხოების ხარვეზი: 30 მაღალი, 33 საშუალო და 14 დაბალი სიმძიმის; რვა ჩანაწერი sandbox-იდან გაქცევას უკავშირდება, ხოლო 24 use-after-free ტიპისაა. ეს ბოლო რიცხვები დადასტურებულ თავდასხმებს არ აღნიშნავს: საუბარია შესწორებული სისუსტეების კატეგორიებზე. კომპიუტერზე ძველი Release ვერსიის დატოვება სწორედ ამ შესწორებების გარეშე მუშაობას ნიშნავს.

რამდენიმე გზა sandbox-ის საზღვრამდე

Firefox გვერდის შიგთავსს ცალკე პროცესებში ამუშავებს და მათ შესაძლებლობებს sandbox-ით ზღუდავს. თუ ამ საზღვრის გადალახვა შესაძლებელია, გვერდთან დაკავშირებული შეცდომა ბრაუზერის უფრო პრივილეგირებულ ნაწილებთან შეიძლება გადაიკვეთოს. ამიტომ sandbox escape განახლების პრიორიტეტს ზრდის, თუნდაც მომხმარებელი მხოლოდ ჩვეულებრივ ვებგვერდებს ხსნიდეს.

მაღალი სიმძიმის CVE-2026-109705, CVE-2026-109707 და CVE-2026-109708 ქსელურ კომპონენტს ეხება. პირველი ერთად აერთიანებს sandbox-იდან გაქცევას, საიტების იზოლაციის დარღვევას, საზღვრების არასწორ განსაზღვრასა და use-after-free შეცდომას; მეორე გათავისუფლებული მეხსიერების ხელახლა გამოყენებას უკავშირდება, მესამე — საზღვრის პირობების შეცდომას. CVE-2026-109712 გრაფიკულ კომპონენტში არაინიციალიზებული მეხსიერების გამოყენებით sandbox-იდან გაქცევას აღწერს და ასევე მაღალი სიმძიმისაა.

საშუალო სიმძიმის ჩანაწერები აჩვენებს, რომ პრობლემა მხოლოდ ქსელური მოდულით არ შემოიფარგლებოდა. CVE-2026-109740 Windows-ის Win32 კომპონენტს ეხება, CVE-2026-109745 — Web Serial-ს, CVE-2026-109755 — შიგთავსის პროცესებს, ხოლო CVE-2026-109757 — ქსელურ კომპონენტში კონკურენტული შესრულების შეცდომას. ამ ჯგუფის ერთად განხილვა სასარგებლოა: ერთი და იმავე შესაძლო შედეგამდე სხვადასხვა ტექნიკური მიზეზი მიდის, ამიტომ ცალკე ხარვეზის გვერდის ავლით უსაფრთხო ვერსიის არჩევა ვერ მოხერხდება.

საიტების იზოლაციის პრობლემა და sandbox-იდან გასვლა ერთ ჩანაწერში შეიძლება ერთად აღმოჩნდეს, მაგრამ სხვადასხვა საზღვარს აღწერს. პირველი სხვადასხვა საიტის შიგთავსის გამიჯვნას ეხება, მეორე კი შიგთავსის პროცესისთვის მინიჭებულ უფლებებს. CVE-2026-109705 ორივე შედეგს ასახელებს, ამიტომ მისი მხოლოდ „ქსელურ შეცდომად“ მოხსენიება მომხმარებლისთვის მნიშვნელოვან ნაწილს დამალავდა. ამავე მიზეზით მხოლოდ ერთი კომპონენტის განახლება არ არსებობს: შესწორება ბრაუზერის ახალ ვერსიაში შედის.

პრივილეგიები და use-after-free

პრივილეგიის გაზრდა sandbox-იდან გაქცევისგან განსხვავებული შედეგის სახელია: კომპონენტმა შეიძლება მასზე მეტად უფლებამოსილ მოქმედებას მიაღწიოს. მაღალი სიმძიმის CVE-2026-109704 Application Update კომპონენტშია, ხოლო CVE-2026-109709 პროცესების sandbox-ს ეხება და ერთდროულად ინფორმაციის გამჟღავნებასაც მოიცავს. ამ ჩანაწერების გამო განახლება მნიშვნელოვანია იმ შემთხვევაშიც, თუ მომხმარებელი მხოლოდ sandbox escape-ის სიას უყურებდა.

Use-after-free მეხსიერების მართვის შეცდომაა: პროგრამა უკვე გათავისუფლებულ უბანს კვლავ მიმართავს. Firefox 158-ში ასეთი ხარვეზები IndexedDB საცავში, ტექსტის გამოსახვაში, Canvas2D-ში, XML-ში, DOM-ის კომპონენტებსა და WebAssembly-შია მითითებული. ცალკეული შეცდომის შედეგი დამოკიდებულია მის კომპონენტსა და პირობებზე; use-after-free თავისთავად არც sandbox-იდან გაქცევის სინონიმია და არც ყველა ჩანაწერისთვის კოდის შესრულების დადასტურება.

ამ გამოშვებაში მნიშვნელოვანია კლასიფიკაციის ფორმაც. უსაფრთხოების ბიულეტენი აღნიშნავს, რომ შიდა აღმოჩენილი მეხსიერების შეცდომები უკვე ერთ საერთო CVE-ში აღარ იყრის თავს და თითოეულ პრობლემას ცალკე ჩანაწერი აქვს. ამიტომ მთლიანი რაოდენობა წინა გამოშვებების რიცხვებთან პირდაპირი შედარებისთვის არ გამოდგება, თუმცა ცალკე ჩამონათვალი უკეთ აჩვენებს, რომელი კომპონენტები გასწორდა.

მეხსიერების შეცდომის ტექნიკური სახელი საბოლოო ზიანს წინასწარ არ ადგენს. ერთი ჩანაწერი შეიძლება პროცესის იზოლაციასთან იყოს დაკავშირებული, მეორე — კონკრეტულ გრაფიკულ ან საცავის კომპონენტთან. ამ განსხვავებას ისიც უსვამს ხაზს, რომ ბიულეტენში use-after-free ხარვეზებს სხვადასხვა სიმძიმე აქვთ. მომხმარებელს თითოეული კომპონენტის გამოყენების წინასწარ დადგენა არ სჭირდება: ვებგვერდები და ბრაუზერის ფუნქციები ამ ნაწილებს სხვადასხვა დროს მიმართავენ.

ინფორმაციის გამჟღავნების რისკი

ინფორმაციის გამჟღავნების ჩანაწერი მიუთითებს მონაცემზე შესაძლო არასათანადო წვდომას და არ მოითხოვს, რომ იმავე აღწერაში კოდის შესრულებაც ეწეროს. მაღალი სიმძიმის CVE-2026-109709 ამ რისკს პრივილეგიის გაზრდასთან აკავშირებს. საშუალო სიმძიმის CVE-2026-109742 PDF Viewer-შია, CVE-2026-109751 — ქსელურ კომპონენტში, ხოლო CVE-2026-109767 ისევ ქსელურ კომპონენტს ეხება.

დაბალი სიმძიმის მაგალითებია CVE-2026-109769 ქსელურ ქეშში, CVE-2026-109771 WebRTC-ის ქსელურ ნაწილში და CVE-2026-109777 IndexedDB-ში. სიმძიმის განსხვავება მნიშვნელოვანია რისკების გასარჩევად, მაგრამ ეს არ ნიშნავს, რომ დაბალი კატეგორიის ხარვეზისთვის განახლება ცალკე უნდა დაელოდოს. ერთ გამოშვებაში შესწორებების მიღება ამ განსხვავებული კატეგორიების ერთად დახურვის გზაა.

ბიულეტენის მოკლე CVE აღწერები კონკრეტული მონაცემების სახეობას ან ექსპლუატაციის სრულ სცენარს ყოველთვის არ ასახელებს. შესაბამისად, ყველა ინფორმაციის გამჟღავნების ჩანაწერისთვის ერთი და იმავე შესაძლო შედეგის მიწერა არასწორი იქნებოდა. მომხმარებლის გადაწყვეტილებისთვის საკმარისი ფაქტია ის, რომ რამდენიმე კომპონენტში ასეთი პრობლემები დაფიქსირდა და Firefox 158-ში გასწორდა.

დაყენებული ვერსია და გამოშვების არხი

Firefox 158.0-ის გამოშვების ჩანაწერი მიუთითებს, რომ Release არხის მომხმარებლებისთვის ვერსია 2026 წლის 13 ოქტომბერს გახდა ხელმისაწვდომი და უსაფრთხოების შესწორებებს შეიცავს. ჩვეულებრივ კომპიუტერულ Firefox-ში სწორედ დაყენებული Release ვერსიის შემოწმებაა გადამწყვეტი: თუ ის უფრო ძველია, უსაფრთხოების განახლება საჭიროა.

ვერსიის სანახავად Firefox-ის მენიუში გახსენით Help, შემდეგ About Firefox. ამ ფანჯარაში გამოჩნდება ნომერი და, ხელმისაწვდომობის შემთხვევაში, დაიწყება განახლების ჩამოტვირთვა; შესწორებების ასამოქმედებლად ბრაუზერის გადატვირთვა შეიძლება გახდეს საჭირო. თუ Firefox Linux-ის დისტრიბუციის პაკეტების საცავიდანაა დაყენებული, განახლებას ჩვეულებრივ სისტემის პაკეტების მენეჯერი აწვდის, ამიტომ შესამოწმებელია იქ მიღებული პაკეტის ვერსიაც.

ორგანიზაციაში Firefox ESR-ის ნომერი ჩვეულებრივი Release ხაზის ნომერს ავტომატურად არ უნდა შეადარონ: ESR-ს საკუთარი მხარდაჭერილი გამოშვებები აქვს. Firefox Enterprise-იც ცალკე, ორგანიზაციის მიერ მართვადი პროდუქტია; მისი განახლების პროცესი ადმინისტრატორის კონტროლს ექვემდებარება. ასეთი გარემოსთვის კითხვა ის არის, დაყენებულია თუ არა კონკრეტული არხისთვის გამოშვებული უსაფრთხოების შესწორება.

ასევე წაიკითხეთ:

• NetScaler-ის ორი კრიტიკული ხარვეზი უკვე გამოიყენეს — განახლება საკმარისი არაა
• LMCache-ის 9.8-ქულიანი ხარვეზი კოდს ავტორიზაციის გარეშე უშვებს
• Cisco SD-WAN-ის ხარვეზს უკვე იყენებენ — დროებითი დაცვა საკმარისი არაა